En primer lugar, se presenta un análisis detallado de la campaña más reciente atribuida a Dragonbridge, un actor sospechoso de ser una amenaza persistente avanzada (APT) respaldada por China, que actualmente lleva a cabo intensas campañas de influencia dirigidas contra EE. UU. de cara a las elecciones de mitad de legislatura y que difunde narrativas descabelladas y repugnantes. A continuación, le ofrecemos una visión general del nuevo proyecto de seguridad de código abierto de Google, centrado en la gestión de la cadena de suministro de software. Además, los líderes del sector y los responsables políticos analizan si la caducidad obligatoria de las contraseñas contribuye a mejorar o a perjudicar la seguridad de las mismas.
1. Una campaña de desinformación a favor de China tiene como objetivo las elecciones estadounidenses
Mandiant, empresa líder en ciberseguridad e inteligencia sobre amenazas, publicó la semana pasada un informe en el que se detalla una campaña de influencia a favor de la República Popular de China (RPC) , durante la cual los investigadores de la empresa observaron que los atacantes utilizaban nuevas tácticas, técnicas y procedimientos (TTP) para llevar a cabo operaciones agresivas dirigidas contra los intereses de EE. UU., incluidas las elecciones de mitad de legislatura.
Mandiant ha atribuido la campaña a un grupo al que sigue bajo el nombre de Dragonbridge. Según se ha informado, los investigadores de Mandiant llevan años observando cómo este grupo promueve los intereses estatales de China, principalmente a través de campañas falsas en redes sociales que simulan tener origen en la sociedad civil y que se centran en influir en la política de Taiwán y Hong Kong.
En esta ocasión, se atribuye a Dragonbridge una serie de intensas campañas de influencia que incluyen una amplia gama de narrativas falsas y descabelladas, todas ellas dirigidas contra entidades estadounidenses.
¿Qué es Dragonbridge?
Cyware afirma que Dragonbridge lleva activo en desde, al menos, el año 2019. En una publicación reciente, Cyware describió al grupo como un colectivo de hackers respaldado por el Estado dedicado a atacar entidades de interés estratégico para la República Popular China.
Las operaciones de influencia de Dragonbridge incluyen campañas en redes sociales que difunden desinformación destinada a contribuir a que China consiga una posición dominante a nivel mundial en el futuro (debido a la estructura del Gobierno de la República Popular China —en la que prácticamente no existen límites de mandato para los cargos de alto rango—, son habituales las operaciones a largo plazo diseñadas para garantizar un futuro próspero al Estado). Las legiones de piratas informáticos chinos, respaldados por el Estado, emplearán cualquier táctica que sea necesaria para alcanzar este objetivo, incluida la difusión de narrativas descabelladas entre la población estadounidense.
Al igual que , muchas APT vinculadas a China, las operaciones de Dragonbridge se prolongan desde hace tiempo (lo cual no es de extrañar, teniendo en cuenta lo que hemos señalado anteriormente). Dicho esto, a diferencia de muchos grupos de ataques persistentes (APT) vinculados a China, la última actividad de injerencia electoral de Dragonbridge ha sido calificada por la revista WIRED como «notablemente torpe», a pesar de que es probable que el grupo tenga acceso a los considerables recursos y herramientas compartidas de la República Popular China.
Para que se haga una idea, a continuación se recogen algunas de las narrativas más descabelladas y la desinformación que Dragonbridge ha estado difundiendo últimamente, por cortesía de Mandiant:
- Se afirma que el grupo de amenaza « », vinculado a China, APT41 , es, en realidad, un actor respaldado por el Gobierno de EE. UU.
- Intentos agresivos de desacreditar el proceso democrático de EE. UU., incluidos los intentos de disuadir a los estadounidenses de votar en las 2022 elecciones de mitad de legislatura de EE. UU.
- Las acusaciones de que Estados Unidos fue responsable de las explosiones en el gasoducto Nord Stream.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«De esta historia se pueden extraer algunas conclusiones importantes. «En primer lugar, la aparente falta de sofisticación técnica de Dragonbridge y su éxito limitado no deberían —y no — equipararse con la idea de que Estados Unidos es inmune a la desinformación y a las campañas de influencia extranjera».
«Además, el vicepresidente de Análisis de Inteligencia de Mandiant, John Hultquist, junto con Thomas Rid, profesor de estudios estratégicos en la Universidad Johns Hopkins y autor de una obra sobre la historia de la desinformación, sostienen que el actual clima de división que impera en la sociedad estadounidense podría convertir al país en un objetivo prioritario para las operaciones de influencia extranjeras. Dragonbridge ha estado trabajando intensamente, no solo para aprovechar la percepción de división que tienen los estadounidenses con el fin de impulsar sus narrativas, sino también para reforzar la percepción que tienen los estadounidenses de que su país es una nación irremediablemente dividida en facciones hostiles. «En una muestra de su propia percepción —en ocasiones— aguda, Dragonbridge ha hecho todo lo posible por presentar a Estados Unidos como una caricatura virtual de sí mismo, aprovechando las inquietudes y los temores que, en cierta medida, albergan todos los estadounidenses preocupados por la situación actual de su país».
2. Google anuncia el proyecto de código abierto GUAC sobre las cadenas de suministro de software
En un anuncio de « » publicado por Google la semana pasada, se dio a conocer un nuevo proyecto de seguridad de código abierto centrado en la gestión de la cadena de suministro de software.
El proyecto se denomina «Graph for Understanding Artifact Composition» (GUAC) y su objetivo principal es crear conjuntos de datos sobre la compilación, la seguridad y las dependencias de un software. En pocas palabras, GUAC recopila y sintetiza metadatos sobre la seguridad del software a gran escala, dotándolos de sentido y convirtiéndolos en información útil.
Descripción general de GUAC
GUAC es una herramienta gratuita de código abierto diseñada para reunir numerosas fuentes diferentes de metadatos sobre seguridad del software y creada para ayudar a hacer frente al aumento de los ataques a la cadena de suministro de software. Google colaboró con la Universidad de Purdue, Citibank y Kusari para crear GUAC y reunió a un grupo de miembros del comité asesor técnico de para que colaboraran en el proyecto.
GUAC se encuentra aún en una fase muy inicial y, por el momento, solo existe como prueba de concepto (PoC), pero Google considera que el proyecto cambiará la forma en que el sector entiende las cadenas de suministro de software. En consonancia con la misión de Google de organizar la información del mundo y hacerla universalmente accesible y útil, el objetivo de GUAC es democratizar el acceso a la información sobre seguridad, poniéndola al alcance de todas las organizaciones, y no solo de aquellas que cuentan con presupuesto para seguridad y tecnologías de la información.
¿Qué problema resuelve GUAC?
GUAC se dedica, fundamentalmente, a recopilar y sintetizar metadatos sobre la seguridad del software para ofrecer una visión más completa. Además, GUAC permitirá a cualquier persona identificar los componentes más críticos de su ecosistema de cadena de suministro de software, así como las vulnerabilidades de seguridad y las dependencias de riesgo existentes en dicho ecosistema.
Google señala que GUAC podrá contribuir a resolver cuestiones en tres ámbitos importantes de la seguridad de la cadena de suministro de software, a saber, las fases proactiva, operativa y reactiva.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La cadena de suministro sigue siendo un vector de ataque muy rentable para los actores maliciosos, como demuestran los ciberataques del tipo de los de SolarWinds y Log4Shell. Teniendo en cuenta la cantidad de ataques a la cadena de suministro de software que hemos visto recientemente en las noticias (por no mencionar el revuelo que ha suscitado en el sector el descubrimiento de vulnerabilidades de día cero en plataformas de código abierto), ya era hora de que se creara algo como GUAC».
«Según Melissa Bischoping, directora de investigación en seguridad de terminales de Tanium, la prevalencia de software de código abierto en forma de bibliotecas compartidas, dependencias e integraciones en las herramientas empresariales y los proyectos a medida puede dar lugar a ataques de «repo jacking», que podrían extenderse rápidamente en caso de tener éxito. Bischoping recomienda a los usuarios de productos de terceros que mantengan un inventario preciso y actualizado ( ) mediante soluciones SBOM , con el fin de conocer las dependencias y los riesgos. «Estas recomendaciones, junto con la iniciativa GUAC que está llevando a cabo Google, podrían mejorar la posición y la capacidad de los equipos en todo el mundo».
«La publicación de esta noticia coincide con el anuncio de lo que en un principio se describió como una vulnerabilidad «crítica» en la biblioteca de código abierto OpenSSL, lo que suscitó un gran revuelo en el sector, ya que los investigadores se apresuraron a determinar el grado de riesgo y la magnitud de la posible superficie de ataque (OpenSSL reveló los detalles técnicos del problema de seguridad aproximadamente una semana después; el fallo «crítico» resultó ser un par de vulnerabilidades, CVE-2022-3786 y CVE-2022-3602, errores de desbordamiento de búfer cuya gravedad se rebajó posteriormente a «alta»).»
«La preocupación evidente entre los profesionales del sector era que la biblioteca OpenSSL está increíblemente extendida; se incluye en numerosos sistemas operativos, software de cliente, software web y de correo electrónico, dispositivos de red, sistemas de control industrial (ICS), etcétera.» Dado el número de servicios y recursos que utilizan dicha biblioteca, surgieron cuestiones relacionadas con las dependencias y preocupaciones sobre la cadena de suministro; por ello, Tanium adoptó un enfoque proactivo para proporcionar a sus clientes la orientación adecuada para identificar los sistemas afectados y mitigar los riesgos lo antes posible, en el breve lapso de tiempo transcurrido entre el anuncio de OpenSSL sobre la existencia de la vulnerabilidad y la divulgación de sus detalles técnicos y números CVE, una semana y media más tarde».
3. Los expertos del sector se preguntan: ¿La caducidad obligatoria de las contraseñas contribuye a mejorar o a empeorar la seguridad de sus contraseñas?
En un hecho que sin duda suscitará polémica, organizaciones de referencia en materia de ciberseguridad, como el Instituto Nacional de Estándares y Tecnología (NIST) y Microsoft , se oponen activamente a la caducidad obligatoria de las contraseñas como práctica recomendada de seguridad.
Según las recomendaciones de Microsoft sobre políticas de contraseñas, existen al menos dos razones principales por las que las organizaciones deberían abandonar la práctica de establecer caducidades periódicas para las contraseñas.
- Microsoft afirma que dichos requisitos no sirven de mucho para impedir que los autores de ciberamenazas especializados consigan acceder a las redes de las víctimas. Esto se debe, en gran medida, a la práctica cada vez más habitual entre los ciberdelincuentes de hacer uso inmediato de las contraseñas robadas, de las que no escasean. El informe « : Account Takeover in 2022» (: La apropiación de cuentas en 101), disponible en , reveló que había más de 24 000 millones de combinaciones de nombres de usuario y contraseñas a la venta en la dark web, lo que supone un aumento con respecto a los 15 000 millones registrados en 2020.
- Microsoft también sostiene que obligar a los usuarios a cambiar periódicamente sus contraseñas suele dar lugar a la creación de credenciales más predecibles y menos seguras. Por ejemplo, es posible que los usuarios se limiten a añadir un nuevo número o un carácter especial a una contraseña anterior cuando se les solicite renovar sus credenciales.
Lo que indican los estudios sobre la caducidad obligatoria de las contraseñas
En un estudio 2009 , investigadores de la UNC Chapel Hill obtuvieron las contraseñas de más de 10,000 cuentas inactivas de pertenecientes a antiguos estudiantes, profesores y personal de la universidad. Se exigía a los usuarios que cambiaran la contraseña de estas cuentas cada tres meses. Mediante el uso de herramientas de descifrado de contraseñas en un ataque sin conexión, los investigadores de la UNC lograron finalmente descifrar aproximadamente el 60 % de las contraseñas. En el caso de 7,752 cuentas, los investigadores lograron descifrar al menos una contraseña que no era la última que el usuario había creado para dicha cuenta. Los investigadores utilizaron las contraseñas de este conjunto de cuentas para llevar a cabo el resto de su estudio, que consistió en desarrollar un método de descifrado que formulaba conjeturas basadas en contraseñas anteriores seleccionadas por los usuarios.
Más recientemente, unos investigadores de la Universidad de Carleton publicaron un artículo en el que desarrollaron una medida cuantitativa del impacto de las políticas de caducidad de contraseñas. En este estudio, los investigadores de Carleton parten de la hipótesis de que los atacantes intentarán adivinar sistemáticamente todas las contraseñas posibles hasta dar con la correcta.
En definitiva, los investigadores de Carleton pudieron extraer varias conclusiones que coincidían con las obtenidas en el estudio de la UNC. En resumen, los cambios frecuentes de contraseña solo suponen un pequeño obstáculo para este tipo de atacantes, probablemente insuficiente para compensar las molestias que ocasionan a los usuarios. Además, es poco probable que un cambio de contraseña frustre los planes de un atacante que ya conozca la contraseña de un usuario.
No todo el mundo está convencido
A pesar de la aparente abundancia de argumentos válidos en contra de imponer la caducidad obligatoria de las contraseñas, sigue habiendo organizaciones y sectores verticales que no están convencidos.
El sector de las tarjetas de pago es uno de ellos, ya que exige a cualquier organización que acepte pagos con tarjeta de crédito que cumpla con la Norma de Seguridad de Datos del Sector de Tarjetas de Pago ( , , PCI DSS), un conjunto de políticas y procedimientos ampliamente aceptado destinado a optimizar la seguridad de las transacciones con tarjetas de crédito, débito y de prepago, así como a proteger a los titulares de las tarjetas contra el uso indebido de su información personal. La norma PCI DSS 4.0 entrará en vigor cuando se retire la versión 3.2.1 de la norma PCI DSS en 2024 y exigirá cambios periódicos de contraseña. La versión 4.0 de las normas PCI DSS exige a las organizaciones que utilicen contraseñas con una longitud mínima de 12 caracteres (con algunas excepciones) y que dichas contraseñas caduquen cada 90 días.
¿Cuál es el mejor camino a seguir?
El sector de la ciberseguridad aún no ha llegado a un consenso sobre la aplicación de plazos de caducidad obligatorios para las contraseñas.
Cabe destacar que la solución de política de contraseñas de Specops, , , destinada a empresas, incorpora un concepto interesante denominado «caducidad de las contraseñas en función de su longitud». Con esta estrategia, las organizaciones pueden configurar la gestión del acceso de tal manera que los usuarios que creen contraseñas seguras sean, en esencia, recompensados con cambios obligatorios de contraseña menos frecuentes.
A primera vista, esto puede parecer una solución un tanto provisional para un problema que requiere puntos de sutura. Al fin y al cabo, quienes crean contraseñas seguras siguen estando obligados a cambiarlas en determinados momentos, una situación que podría influir en que, con el tiempo, el usuario acabe recurriendo a modificar sus contraseñas en lugar de crear otras completamente nuevas y seguras.
Aunque es posible que soluciones como esta no basten por sí solas para resolver este dilema, cuando se utilizan junto con otras funciones de seguridad de contraseñas, ciertas combinaciones pueden resultar eficaces.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Microsoft da en el clavo al afirmar que los usuarios a los que se les exige restablecer sus contraseñas con mayor frecuencia son más propensos a utilizar contraseñas poco seguras y a reutilizarlas en varias cuentas».
«La autenticación multifactorial —aunque no es una solución milagrosa y presenta sus propias limitaciones y brechas de seguridad— puede ayudar a proteger las cuentas de los usuarios frente a los atacantes, incluso si estos han logrado obtener una contraseña. La comprobación de contraseñas también puede ayudar a los usuarios a crear contraseñas seguras y difíciles de adivinar. El NIST recomienda todo lo anterior, además de establecer un límite en el número de intentos fallidos de contraseña y de aplicar «salt» y «hash» a las contraseñas. «La lista completa de recomendaciones, que consta de NIST-800-63b, puede consultarse aquí».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « ».
